Template di policy AI aziendale (da personalizzare)

Questo template di policy AI azienda è un modello pronto da personalizzare: contiene le sezioni essenziali — scopo, strumenti autorizzati, dati vietati, regole di minimizzazione, responsabilità e sanzioni. Copia la struttura qui sotto, adattala alla tua realtà e fallo approvare dalla direzione. Un modello è un punto di partenza, non un timbro di conformità.

Questo è lo strumento operativo che accompagna la guida completa su come scrivere una policy sull’uso dell’AI in azienda. Qui trovi il modello policy intelligenza artificiale già strutturato; nella pillar trovi il perché di ogni scelta.

Come usare il template

Il template non va copiato e incollato così com’è: ogni azienda ha strumenti, dati e rischi diversi. Usalo come scheletro e segui questi passaggi.

1. Copia la struttura delle sezioni qui sotto in un documento aziendale.
2. Compila i campi tra parentesi ([…]) con i dati della tua organizzazione: strumenti AI approvati, referenti, canali di segnalazione.
3. Adatta le regole al tuo settore: uno studio legale e un’azienda manifatturiera hanno esigenze diverse.
4. Fai rivedere il testo dal DPO o dal responsabile privacy e approvare dalla direzione.
5. Distribuisci e forma il personale: una policy che nessuno ha letto non protegge nulla.

Il template funziona per qualunque assistente AI — ChatGPT, Claude, Gemini o strumenti integrati nei software aziendali. Non è un documento “anti-ChatGPT”: è una regola d’uso valida per l’intera categoria dell’AI generativa.

Le sezioni del modello

Ecco il fac simile di regolamento AI con le clausole essenziali. Ogni sezione è un blocco da personalizzare.

1. Scopo e ambito

La presente policy disciplina l’uso degli strumenti di intelligenza artificiale generativa (di seguito “AI”) da parte del personale di [NOME AZIENDA]. Si applica a tutti i dipendenti, collaboratori e consulenti che utilizzano strumenti AI per attività lavorative, su dispositivi aziendali o personali.

2. Strumenti autorizzati

Sono ammessi esclusivamente gli strumenti AI approvati dall’azienda ed elencati in [ALLEGATO A]. L’uso di strumenti non approvati per il trattamento di dati aziendali costituisce Shadow AI ed è vietato. Nuovi strumenti vanno richiesti a [REFERENTE IT].

3. Dati che non vanno mai inseriti in un’AI

È vietato inserire in strumenti AI, in chiaro: dati personali identificativi (nome, codice fiscale, IBAN, indirizzo, contatti), dati particolari (salute, ecc.), credenziali e password, segreti aziendali e know-how, contratti e documenti riservati di terzi, dati di clienti, pazienti o assistiti.

4. Regola di minimizzazione

Se un documento contenente dati vietati serve per un compito, non va inserito così com’è: i dati identificativi vanno rimossi o mascherati con segnaposto coerenti prima dell’invio all’AI. Va utilizzata solo la versione minimizzata.

5. Responsabilità e sanzioni

Ogni utente è responsabile dei dati che immette. La violazione della presente policy può comportare provvedimenti disciplinari secondo [CCNL / regolamento aziendale] e, nei casi gravi, conseguenze legali. Le violazioni vanno segnalate a [CANALE DI SEGNALAZIONE].

6. Approvazione e revisione

Policy approvata da [DIREZIONE] il [DATA]. Revisione almeno annuale o al variare degli strumenti e della normativa applicabile.

Cosa personalizzare (e perché è tassativo)

Le sezioni tra parentesi non sono decorative: sono i punti in cui il template diventa la tua policy. In particolare:

• L’elenco degli strumenti autorizzati (Allegato A): senza una lista chiara, il divieto di Shadow AI è vago e inapplicabile.
• Le categorie di dati vietate: aggiungi quelle tipiche del tuo settore (dati sanitari per una clinica, dati finanziari per uno studio, progetti industriali per la manifattura).
• I riferimenti normativi: la minimizzazione dei dati è un principio del GDPR art. 5(1)(c) ; dal 2026 si aggiungono gli obblighi di alfabetizzazione dell’ AI Act art. 4 . Adattali al tuo caso, senza promettere una conformità automatica.
• Le sanzioni: vanno ancorate al tuo CCNL e al regolamento interno, altrimenti non sono opponibili.

Attenzione: adottare un modello non rende automaticamente l’azienda conforme al GDPR o all’AI Act. Il template è una misura organizzativa che riduce il rischio; la conformità resta una responsabilità del titolare del trattamento, che deve valutare il proprio contesto.

Dalla policy alla pratica

Qui sta il punto debole di ogni policy: il documento vieta, ma non impedisce. Un dipendente di fretta può comunque incollare il nome di un cliente in un assistente AI, anche avendo firmato la policy. La regola scritta è necessaria, ma da sola non basta.

La differenza tra una policy che resta sulla carta e una che funziona è duplice: formazione e strumenti che rendono facile la regola. Se la policy dice “maschera i dati identificativi prima dell’invio”, serve un modo rapido per farlo — altrimenti la regola verrà aggirata per comodità.

Egregio dott. Luca Bianchi,
in merito alla Sua posizione (CF BNCLCU75M12F205X),
Le comunichiamo che l'importo di 3.200 euro
sarà accreditato sull'IBAN IT12A0300203280000400512345.

Egregio dott. [NOME_1],
in merito alla Sua posizione (CF [CF_1]),
Le comunichiamo che l'importo di [IMPORTO_1]
sarà accreditato sull'IBAN [IBAN_1].

È qui che PrivActa aiuta a trasformare la policy in un comportamento quotidiano. PrivActa è uno strumento di supporto all’anonimizzazione: individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima che il testo raggiunga qualunque motore AI — ChatGPT, Claude, Gemini o altro. Il documento originale non esce dal computer del dipendente.

Non sostituisce la policy né il giudizio delle persone, ma rende la regola di minimizzazione un gesto di pochi secondi invece di un passaggio manuale che, sotto pressione, si tende a saltare. Per capire come inserirlo nel flusso di lavoro dei team, scopri come funziona PrivActa o vedi la pagina dedicata alle aziende.

Se il tuo obiettivo è governare l’uso dell’AI senza vietarlo, la policy è il primo pilastro e la formazione il secondo: approfondisci con la pillar su come impostare una policy AI aziendale, con la guida su cosa deve prevedere una policy AI e con quella su come governare la Shadow AI.

Domande frequenti

Un template di policy AI aziendale è sufficiente per essere a norma? No. Un template è un punto di partenza da adattare alla tua realtà: strumenti approvati, dati trattati, ruoli e sanzioni. La conformità dipende dal titolare del trattamento e dalle sue valutazioni, non dal solo documento.

Cosa deve contenere come minimo una policy sull’uso dell’AI? Scopo e ambito, strumenti AI autorizzati, categorie di dati vietate, regole di minimizzazione prima dell’invio, responsabilità dei dipendenti e conseguenze in caso di violazione.

Chi deve approvare la policy AI in azienda? In genere il documento nasce da HR o IT, viene rivisto dal DPO o dal responsabile privacy e approvato dalla direzione. L’approvazione formale della direzione la rende vincolante.

Come faccio a far rispettare davvero la policy AI? Servono formazione e strumenti che rendano facile la regola. Se la policy vieta di incollare dati identificativi, uno strumento come PrivActa li maschera automaticamente sul dispositivo prima dell’invio, riducendo l’errore umano.